(1)

Komisija pripažįsta, kad 5-osios kartos (5G) tinklų technologijų diegimas yra vienas pagrindinių veiksnių, sudarančių sąlygas teikti ateities skaitmenines paslaugas, ir vienas iš Bendrosios skaitmeninės rinkos strategijos prioritetų. Siekdama užtikrinti, kad nuo 2020 m. Sąjunga turėtų skaitmeninei transformacijai reikalingą ryšio infrastruktūrą, Komisija priėmė 5G veiksmų planą (1);

(2)

5G tinklai bus kuriami remiantis dabartinėmis 4-osios kartos (4G) tinklų technologijomis – jie suteiks galimybę teikti naujas paslaugas ir taps pagrindine didelės Sąjungos ekonomikos dalies infrastruktūra ir veikimo sąlyga. Įdiegti 5G tinklai bus pagrindas įvairioms paslaugoms, būtinoms, kad veiktų vidaus rinka ir kad būtų išlaikomos ir atliekamos visuomenei ir ekonomikai itin svarbios funkcijos (pavyzdžiai – energetikos, transporto, bankų, sveikatos ir pramoninių procesų valdymo sistemos). Skaitmeninė infrastruktūra ir 5G tinklai bus vis daugiau naudojami ir organizuojant demokratinius procesus, pavyzdžiui, rinkimus;

(3)

nuo 5G tinklų priklauso daug ypatingos svarbos paslaugų, todėl sisteminis plataus masto jų sutrikdymas turėtų itin rimtų padarinių. Taigi šiuo metu, kai kibernetinių išpuolių daugėja ir kai jie sudėtingesni nei bet kada anksčiau, 5G tinklų kibernetinio saugumo užtikrinimas yra Sąjungai strategiškai svarbus klausimas;

(4)

skaitmeninei ekosistemai būtini infrastruktūros objektai yra sujungti tarpusavyje, o jų ir su jais susijusių grėsmių pobūdis – tarpvalstybinis, todėl bet kokios reikšmingos 5G tinklų pažeidžiamumo problemos ir (arba) kibernetinio saugumo incidentai vienoje valstybėje narėje neigiamai paveiktų visą Sąjungą. Todėl turėtų būti numatytos priemonės, padedančios užtikrinti aukštą bendrą 5G tinklų kibernetinio saugumo lygį;

(5)

valstybės narės patvirtino, kad reikia imtis Sąjungos lygmens veiksmų. Europos Vadovų Taryba 2019 m. kovo 21 d. susitikimo išvadose nurodė laukianti Komisijos rekomendacijos dėl suderinto požiūrio į 5G tinklų saugumą (2);

(6)

pagrindinis tikslas turėtų būti užtikrinti Europos suverenitetą, visapusiškai atsižvelgiant į Europos atvirumo ir tolerancijos vertybes (3). Užsienio investicijos strateginiuose sektoriuose, ypatingos svarbos turto, technologijų ir infrastruktūros įsigijimas Sąjungoje ir ypatingos svarbos įrangos tiekimas taip pat gali kelti pavojų Sąjungos saugumui;

(7)

kaip pripažįstama bendrame komunikate „ES ir Kinija. Strateginė perspektyva“ (4), 5G tinklų kibernetinis saugumas yra labai svarbus siekiant užtikrinti Sąjungos strateginį savarankiškumą;

(8)

Europos Parlamento rezoliucijoje dėl grėsmių saugumui, susijusių su Kinijos technologijų plitimu Sąjungoje, Komisija ir valstybės narės taip pat raginamos imtis Sąjungos lygmens veiksmų (5);

(9)

šioje rekomendacijoje 5G tinklų kibernetinio saugumo rizikos klausimas sprendžiamas pateikiant gairių dėl tinkamų nacionalinio lygmens rizikos analizės ir valdymo priemonių, dėl koordinuoto Europos rizikos vertinimo ir dėl proceso, kurio tikslas – parengti bendrą geriausių rizikos valdymo priemonių rinkinį;

(10)

Sąjungoje sukurta stipri teisinė sistema, skirta elektroninių ryšių tinklų apsaugai užtikrinti;

(11)

Sąjungos elektroninių ryšių srities sistema (6) skatinama konkurencija, vidaus rinkos plėtra ir ginami galutinių paslaugų gavėjų interesai, o Europos elektroninių ryšių kodeksu (7) siekiama papildomo – junglumo – tikslo, apibūdinamo šiais rezultatais: galimybių visiems Sąjungos piliečiams ir įmonėms plačiai naudotis itin didelio pralaidumo fiksuotuoju ir mobiliuoju ryšiu užtikrinimas ir plėtojimas kartu rūpinantis piliečių interesais. Direktyvoje 2002/21/EB reikalaujama, kad valstybės narės užtikrintų, kad būtų išlaikytas viešųjų ryšių tinklų vientisumas ir saugumas ir kad įmonės, teikiančios viešuosius ryšių tinklus ar viešai prieinamas elektroninių ryšių paslaugas, imtųsi techninių ir organizacinių priemonių, kad būtų tinkamai valdoma tinklų ir paslaugų saugumui kylanti rizika. Joje taip pat numatyta, kad kompetentingos nacionalinės reguliavimo institucijos turi įgaliojimus, be kita ko, įgaliojimą duoti privalomus nurodymus, reikalingus siekiant užtikrinti tokių pareigų vykdymą;

(12)

be to, Europos Parlamento ir Tarybos direktyvoje 2002/20/EB (8) valstybėms narėms leidžiama taikyti bendrajam leidimui sąlygas, susijusias su viešųjų tinklų apsauga nuo neteisėto prisijungimo, siekiant užtikrinti pranešimų konfidencialumo apsaugą pagal Europos Parlamento ir Tarybos direktyvą 2002/58/EB (9);

(13)

siekdama padėti vykdyti šias pareigas, Sąjunga sudarė keletą bendradarbiavimo organų. Tinklų ir informacijos apsaugos agentūra (ENISA), Komisija, valstybės narės ir nacionalinės reguliavimo institucijos parengė nacionalinėms reguliavimo institucijoms skirtas technines gaires dėl pranešimo apie incidentus, saugumo priemonių, grėsmių ir turto (10). Europos Parlamento ir Tarybos direktyva (ES) 2016/1148 (11) įsteigta kompetentingas institucijas vienijanti bendradarbiavimo grupė (toliau – Bendradarbiavimo grupė), kurios tikslas – remti ir lengvinti bendradarbiavimą, visų pirma teikti strategines gaires dėl Reagavimo į kompiuterių saugumo incidentus tarnybų tinklo, kuris techniniu lygmeniu palengvina operatyvinį bendradarbiavimą, veiklos;

(14)

būsima Europos kibernetinio saugumo sertifikavimo sistema (12) turėtų būti viena iš pagrindinių priemonių, padedančių skatinti užtikrinti vienodą saugumo lygį. Ji turėtų suteikti galimybę rengti kibernetinio saugumo sertifikavimo schemas atsižvelgiant į aparatinės ir programinės įrangos, susijusios su 5G tinklais, naudotojų poreikius. Atsižvelgiant į ypatingą šios infrastruktūros svarbą, atitinkamų Europos kibernetinio saugumo sertifikavimo schemų, skirtų 5G tinkluose naudojamiems informacinių ir ryšių technologijų produktams, paslaugoms ir procesams, rengimas turėtų būti neatidėliotinas prioritetas. Valstybės narės ir rinkos dalyviai turėtų aktyviai dalyvauti rengiant tokias sertifikavimo schemas, be kita ko, padėti nustatyti konkrečius 5G tinklų apsaugos profilius;

(15)

nesant suderintų Sąjungos teisės aktų, valstybės narės gali nacionaliniuose techniniuose reglamentuose, priimtuose laikantis Sąjungos teisės, nurodyti, kad tam tikra Europos kibernetinio saugumo sertifikavimo schema turėtų būti privaloma. Reikalavimą dėl Europos kibernetinio saugumo sertifikavimo schemų valstybės narės gali taikyti ir vykdydamos viešuosius pirkimus bei įgyvendindamos Europos Parlamento ir Tarybos direktyvą 2014/24/ES (13). Be to, jos galėtų padėti kurti pagalbos mechanizmus, kaip antai pagalbos centrus, skirtus viešiesiems pirkėjams, norintiems pirkti kibernetinio saugumo sprendimus;

(16)

aukštas duomenų apsaugos ir privatumo lygis yra svarbus veiksnys siekiant užtikrinti 5G tinklų saugumą. Sąjungos lygmeniu taip pat nustatytos taisyklės, kuriomis užtikrinamas asmens duomenų tvarkymo, be kita ko elektroninių ryšių srityje, saugumas. Bendrajame duomenų apsaugos reglamente (14) nustatytas įpareigojimas asmens duomenis tvarkyti taip, kad būtų užtikrintas jų saugumas, be kita ko, būtų užkirstas kelias neteisėtai prieigai prie asmens duomenų ir jiems tvarkyti naudojamos įrangos ar neteisėtam jų naudojimui. Direktyvoje dėl privatumo ir elektroninių ryšių nustatomos konkrečios taisyklės dėl pranešimų konfidencialumo apsaugos ir galutinių naudotojų galinių įrenginių apsaugos. Joje taip pat nustatomi įpareigojimai paslaugų teikėjams imtis tinkamų techninių ir organizacinių priemonių savo paslaugų saugumui užtikrinti;

(17)

Sąjunga taip pat priėmė priemonę, kuri padės apsaugoti ypatingos svarbos, pavyzdžiui, ryšių srities, infrastruktūrą ir technologijas – ja valstybėms narėms leidžiama tikrinti tiesiogines užsienio investicijas saugumo ar viešosios tvarkos sumetimais ir sukuriamas bendradarbiavimo mechanizmas, sudarysiantis valstybėms narėms ir Komisijai sąlygas keistis informacija ir išreikšti susirūpinimą dėl konkrečių investicijų (15);

(18)

valstybės narės ir operatoriai šiuo metu atlieka svarbius parengiamuosius veiksmus, kurių tikslas – sudaryti sąlygas plačiu mastu diegti 5G tinklus. Kelios valstybės narės išreiškė susirūpinimą dėl galimos su 5G tinklais susijusios saugumo rizikos, kylančios atliekant teisių naudotis 5G tinklams skirtomis radijo spektro juostomis suteikimo procedūras (16), ir nagrinėja, kokiomis priemonėmis būtų galima mažinti šią riziką;

(19)

mažinant su 5G tinklais susijusią kibernetinio saugumo riziką, turėtų būti atsižvelgiama ir į techninius, ir į kitus veiksnius. Techniniai veiksniai gali apimti kibernetinio saugumo spragas, kuriomis gali būti pasinaudota siekiant neteisėtai gauti informaciją (kibernetinis šnipinėjimas dėl ekonominių ar politinių priežasčių) arba kitais piktavališkais tikslais (kibernetiniai išpuoliai, kuriais siekiama sugadinti arba sunaikinti sistemas ir duomenis). Svarbūs aspektai, į kuriuos reikėtų atsižvelgti, yra būtinybė užtikrinti, kad tinklai būtų apsaugoti visą jų gyvavimo ciklą, ir būtinybė aprėpti visą susijusią įrangą, be kita ko, įrangą, naudojamą 5G tinklų projektavimo, plėtojimo, viešojo pirkimo, diegimo, eksploatavimo ir techninės priežiūros etapais;

(20)

kiti veiksniai gali apimti reguliavimo ar kitus reikalavimus, taikomus informacinių ir ryšių technologijų įrangos tiekėjams. Vertinant tokių veiksnių svarbą reikėtų atsižvelgti į, be kita ko, bendrą trečiosios valstybės įtakos riziką, visų pirma į tai, koks jos valdymo modelis, ir į tai, ar Sąjunga su atitinkama trečiąja valstybe yra sudariusi bendradarbiavimo saugumo srityje susitarimų arba dėl jos priėmusi panašių su duomenų apsauga susijusių priemonių, pavyzdžiui, sprendimų dėl tinkamumo, arba ar ta valstybė yra pasirašiusi daugiašalių, tarptautinių arba dvišalių susitarimų dėl kibernetinio saugumo, kovos su kibernetiniais nusikaltimais arba duomenų apsaugos;

(21)

vienas iš svarbių veiksmų, kurie turėtų būti atlikti formuojant Sąjungos požiūrį į 5G tinklų kibernetinį saugumą, yra nacionalinio lygmens rizikos vertinimas. Šio vertinimo rezultatai padėtų valstybėms narėms atitinkamai pritaikyti nacionalines saugumo reikalavimų ir rizikos valdymo priemones;

(22)

siekiant užtikrinti, kad priemonės, kuriomis siekiama šalinti šias grėsmes kibernetiniam saugumui, taip pat priemonės, būtinos siekiant užtikrinti sklandų vidaus rinkos veikimą ir asmens duomenų bei privatumo apsaugą, būtų veiksmingos, veiksmai turėtų būti koordinuojami;

(23)

remiantis nacionaliniais rizikos vertinimais, turėtų būti atliktas koordinuotas Sąjungos rizikos vertinimas – valstybės narės, padedamos Komisijos, kartu su Europos kibernetinio saugumo agentūra (ENISA) turėtų nustatyti aktualias grėsmes ir atlikti bendrą peržiūrą;

(24)

atsižvelgdama į nacionalinius ir Sąjungos rizikos vertinimus, Bendradarbiavimo grupė turėtų parengti priemonių rinkinį, kuriame būtų nustatytos kibernetinio saugumo rizikos rūšys ir galimos priemonės rizikai tokiose srityse kaip sertifikavimas, bandymai ir prieigos kontrolė mažinti. Jame taip pat turėtų būti nurodytos galimos konkrečios priemonės, kuriomis galėtų būtų mažinama vienos arba kelių valstybių narių nustatyta rizika. Bendradarbiavimo grupė turėtų naudotis Europos kibernetinio saugumo agentūros (ENISA), Europolo, Europos elektroninių ryšių reguliuotojų institucijos (BEREC) ir ES žvalgybos ir situacijų centro pagalba. Šis priemonių rinkinys turėtų padėti Komisijai nustatyti būtinuosius bendrus reikalavimus siekiant papildomai užtikrinti aukšto lygio 5G tinklų kibernetinį saugumą visoje Sąjungoje;

(25)

imantis priemonių kibernetinio saugumo rizikai mažinti, turėtų būti apsvarstyta galimybė skatinti įvairius tiekėjus diegiant bet kokį tinklą užtikrinti kibernetinį saugumą;

(26)

šia rekomendacija neturėtų būti daromas poveikis valstybių narių kompetencijai, susijusiai su viešojo saugumo, gynybos ir nacionalinio saugumo sričių veikla, ir valstybių veiklai baudžiamosios teisės srityse, visų pirma valstybių narių teisei pašalinti tiekėjus arba paslaugų teikėjus iš savo rinkų nacionalinio saugumo sumetimais,